Dienstverlening DCI Beheer

Transcriptie

1 Versie 2.10 Datum 18 april 2016 Status Definitief

2 Colofon Bestuurskern Directie Concern Informatievoorziening Koningskade 4 Den Haag Contactpersoon D.A. Stinissen Teamleider DCI Beheer T M +31(0) [email protected] Versie 2.06 Opdrachtgever Michel van der Koogh Auteur Dennis Stinissen Paul Mulder Pagina 2 van 20

3 Colofon 2 Inleiding 5 1 Het ICT landschap ICT Beheer Technisch beheer Applicatiebeheer Functioneel beheer Centraal Functioneel Beheer Stakeholders/Rollen Systeemeigenaar Proceseigenaar Opdrachtgever Key user Eindgebruiker 9 2 Dienstverlening Dienstverleningsmodel Dienstverleningsniveaus Basis Uitgebreid Compleet Prestatie afspraken Vastlegging en wijziging van de dienstverlening 11 3 Verantwoordelijkheden Opdrachtgever Centraal Functioneel Beheer Key user 13 Bijlage A Bijlage B Dienstverleningsmodel 14 Tabel 1 Taakomschrijving 14 Tabel 2 Prestatie afspraken 15 Taakdefinities 16 0 Standaard dienstverlening Certificatenbeheer Licentiebeheer Informatiebeveiliging Opstellen Dossier Afspraken en Procedures (DAP) 16 1 Gebruikersondersteuning Meldingen afhandeling Bieden inhoudelijke ondersteuning Organiseren gebruikersoverleg Opleiden eindgebruikers Bijhouden gebruikershandleidingen 17 2 Wijzigingen Beheer Wijziging doorvoeren Opstellen impact analyse Opstellen en bewaken implementatieplan Bewaken en controleren relatie niet geautomatiseerde informatievoorziening 17 3 Testen 17 Pagina 3 van 20

4 3.1 Begeleiden acceptatietest Uitvoeren acceptatietest Opstellen verkort testplan Opstellen uitgebreid testplan Opstellen testrapport 18 4 Adviseren Adviseren Dienstverleningsovereenkomst (DVO) Adviseren over de functionele mogelijkheden Prioriteren wijzigingsverzoeken Adviseren over meldingen Analyse informatiebehoefte naar functionaliteiten Adviseren over de behoefteplanning Leveren specialistische ondersteuning in projecten 18 5 Rapportage Rapporteren meldingen Rapporteren wijzigingen Rapporteren kerncijfers Controleren van de dienstverleningsafspraken Rapporteren bedrijfsgegevens Leveren maatwerkrapportage 19 Bijlage C Toelichting Bisl, ASL, Itil 20 a. BISL 20 b. ASL 20 c. ITIL 20 Pagina 4 van 20

5 Inleiding De afdeling Beheer van de Directie Concern Informatievoorziening (DCI) voert het centraal functioneel beheer uit op de departementaal gemeenschappelijke systemen 1 en de specifieke systemen die binnen de bestuurskern worden gebruikt. Dit document beschrijft het dienstverleningsmodel van DCI Beheer en geeft inzicht in de taken en verantwoordelijkheden van de betrokken partijen. Het model geeft de opdrachtgever inzicht in de diverse vormen van dienstverlening die DCI Beheer biedt. De opdrachtgever kan per systeem een keuze maken welke vorm van dienstverlening het beste bij het systeem past. 1 Binnen de ICT wordt gesproken over informatiesysteem, systeem of applicatie waarbij vaak hetzelfde wordt bedoeld. In dit document wordt de benaming systeem gebruikt. Pagina 5 van 20

6

7 1 Het ICT landschap 1.1 ICT Iedereen kent de voorbeelden van ICT projecten die uit de tijd lopen en meer kosten dan vooraf ingeschat. De ICT is relatief onvolwassen vergeleken met andere vakgebieden. Toch is ICT gemeengoed en niet meer weg te denken uit de maatschappij. Iedereen werkt tegenwoordig met , tekstverwerkers, spreadsheets en andere systemen. Niet alleen op kantoor maar zeker ook thuis en tegenwoordig ook steeds meer mobiel. Het realiseren van een systeem is, zeker binnen de overheid waar aanbestedingsregels gelden, complex en wordt vaak onderschat. Zo zijn er bij de realisatie en het uitrollen al diverse specialisten nodig, vaak zelfs van verschillende leveranciers. Dit is de eerste stap. Na de realisatie is het van belang het systeem in stand te houden. Dit betekent dat aanpassingen moeten worden doorgevoerd waardoor het systeem zo optimaal mogelijk blijft functioneren en blijft voldoen aan nieuwe verwachtingen, technieken of wet- en regelgeving. Ook verwachten gebruikers begeleiding en ondersteuning bij het gebruik van het systeem. Het is belangrijk om vooraf al rekening te houden met het beheer. 1.2 Beheer Het beheer wordt onderverdeeld in drie vormen van beheer. Dit zijn het technisch beheer, het applicatiebeheer en het functioneel beheer. In onderstaand figuur is het beheer schematisch weergegeven. Applicatie Beheer Functioneel Beheer Technisch Beheer Figuur 1 Schematische weergave beheer Technisch beheer Technisch beheer richt zich op het in stand houden, beheren en onderhouden van de IT-infrastructuur. De IT-infrastructuur is de basis waarop systemen draaien en bestaat uit het netwerk, de computers, het besturingssysteem en de randapparatuur. Pagina 7 van 20

8 1.2.2 Applicatiebeheer Onder applicatiebeheer wordt het in stand houden van het systeem verstaan. Applicatiebeheer houdt zich bezig met het aanpassen van het systeem naar aanleiding van geconstateerde fouten of veranderende technische of functionele eisen Functioneel beheer Functioneel beheer is het verantwoordelijkheidsdomein binnen de ICT dat de belangen van de business behartigt. Functioneel beheer zorgt voor de directe gebruikersondersteuning en voert de operationele aansturing van de leveranciers, applicatiebeheer en technisch beheer uit. Functioneel beheer beschrijft wijzigingen en vertaalt aanpassingen aan het systeem naar de benodigde verandering. Daarin worden informatiebeveiliging, ketenveranderingen en aanpassingen in de ITinfrastructuur meegenomen. 1.3 Centraal Functioneel Beheer Als belangenbehartiger van de business is functioneel beheer de verantwoordelijkheid van de systeemeigenaar. Binnen IenM voert DCI Beheer het functioneel beheer met professionele specialistische medewerkers die kennis en kunde van dit vakgebied hebben en zich ook verwant voelen met het primaire proces van de opdrachtgever. Als onderscheidende term gebruiken we hiervoor centraal functioneel beheer (CFB). De centraal functioneel beheerder voert de werkzaamheden uit op basis van de volgende uitgangspunten: - De verantwoordelijkheden van alle betrokken partijen zijn duidelijk; - BISL 2 is de facto de standaard voor het uitvoeren van de werkzaamheden. - Leveranciers werken volgens ASL 3 en ITIL 4 voor respectievelijk applicatiebeheer en technisch beheer. - Testwerkzaamheden vinden gestructureerd 5 en volgens best practices plaats. - Voor analyse en testwerkzaamheden wordt gebruik gemaakt van een separate acceptatieomgeving. - Werkzaamheden worden door de centraal functioneel beheerder, waar nodig, opgepakt in samenwerking met andere specialisten van DCI. - Centraal functioneel beheer is niet verantwoordelijk voor de content van een systeem. 1.4 Stakeholders/Rollen Naast technische beheer en applicatiebeheer zijn er voor centraal functioneel beheer meer partijen binnen de eigen organisatie Systeemeigenaar De systeemeigenaar is de formele eigenaar van een systeem en is daarmee ook eindverantwoordelijk voor het systeem. De systeemeigenaar is verantwoordelijk voor het organiseren van de besluitvorming en financiering. 2 Zie voor een toelichting over BISL bijlage C 3 Zie voor een toelichting over ASL bijlage C 4 Zie voor een toelichting over ITIL bijlage C 5 Bijvoorbeeld TMap Pagina 8 van 20

9 1.4.2 Proceseigenaar Wanneer een systeem één proces ondersteunt zijn de systeemeigenaar en de proceseigenaar één persoon en is deze het formele aanspreekpunt voor de centraal functioneel beheerder. Indien het systeem meerdere processen ondersteunt is de proceseigenaar verantwoordelijk voor zijn proces binnen het systeem Opdrachtgever De opdrachtgever voor het centraal functioneel beheer is altijd de systeemeigenaar. Het opdrachtgeverschap voor wijzigingen ligt ook bij de systeemeigenaar. Wanneer de systeemeigenaar geen middelen beschikbaar stelt, kan de proceseigenaar, in overleg met de systeemeigenaar, het opdrachtgeverschap overnemen. Dit betreft wijzigingen die alleen het proces raken waarvoor de proceseigenaar verantwoordelijk is Key user De key-user, ook wel lokaal of decentraal functioneel beheer genoemd, is een gebruiker die door de proceseigenaar is aangewezen. De key-user is inhoudelijk beter op de hoogte is van het systeem, de werkprocessen die het systeem ondersteunt en de werkprocessen in relatie tot centraal functioneel beheer. De keyuser is voor de eindgebruiker het eerste aanspreekpunt voor alle vragen met betrekking tot het systeem en kanaliseert vraag en behoefte richting centraal functioneel beheer. De key user neemt deel aan de overleggen die centraal functioneel beheer faciliteert Eindgebruiker De eindgebruikers zijn alle medewerkers die geautoriseerd zijn om gebruik te maken van het systeem, inclusief de key-user(s). Afhankelijk van hoe het meldingenproces is ingeregeld mogen eindgebruikers zelfstandig meldingen aanmelden bij een (centrale) servicedesk. In alle andere gevallen moet het meldingenproces via de key-user zijn ingeregeld. Pagina 9 van 20

10 2 Dienstverlening 2.1 Dienstverleningsmodel Dit dienstverleningsmodel is opgezet om de dienstverlening die DCI Beheer biedt zo goed mogelijk te laten aansluiten op de behoefte en verwachting van de opdrachtgever. Dit model stelt de opdrachtgever in staat om naar behoefte de gewenste dienstverlening in te kopen. Het dienstverleningsmodel dat in tabel 1 van bijlage A is opgenomen geeft weer welke taken er worden uitgevoerd voor de verschillende dienstverleningsniveaus. In de met DCI afgesloten dienstverleningsovereenkomst (DVO) is per systeem aangegeven welk dienstverleningsniveau wordt geleverd en welke optionele taken worden uitgevoerd. De beschrijving van de verschillende taken staan in bijlage B. 2.2 Dienstverleningsniveaus De dienstverlening zonder vastlegging van afspraken gebeurt op basis van Best effort. Dit betekent dat er formeel geen overeenkomst tussen de opdrachtgever en opdrachtnemer is over het te leveren dienstverleningsniveau. Vragen, verzoeken, incidenten en verstoringen worden op basis van de beschikbare capaciteit opgepakt, waarbij er geen aanspraak gemaakt kan worden op doorloop-, response- en oplostijden. Naast Best effort biedt DCI Beheer dienstverlening op drie niveaus zijnde: Basis, Uitgebreid en Compleet met daaraan gekoppeld bepaalde keuzemogelijkheden en prestatie afspraken. Vanaf eind 2015 zal voor iedere applicatie die in beheer is bij DCI Beheer getracht worden een afspraak te maken over de te leveren dienstverlening, zonder hiervoor kosten in rekening te brengen. Mogelijk worden er wel eisen gesteld aan de contractuele afspraken met de betrokken leveranciers. Voor het functioneel beheer zullen in 2016 geen kosten in rekening worden gebracht. Voor 2017 en later zal dit worden geëvalueerd en worden er wanneer de vraag het aanbod (capaciteit) overschrijdt mogelijk wel kosten in rekening gebracht. In deze paragraaf worden de drie genoemde niveaus beschreven Basis Dienstverleningsniveau Basis vertegenwoordigt het minimum takenpakket om ervoor te zorgen dat het systeem gebruikt kan worden en wordt voldaan aan weten regelgeving. Het beheer op het systeem wordt uitgevoerd zoals beschreven in de kolom Basis van tabel 1 en tabel 2 in bijlage A. Systemen waarvoor het niveau Basis geschikt is, zijn niet kritisch in het primaire proces. Om een beeld te geven: In dit geval voeren de key users van de opdrachtgever een groot deel van de werkzaamheden zelf uit. De primaire kennis van de applicatie ligt dan ook bij de key users en zij organiseren zelf het proces om de behoefte te kanaliseren. DCI Beheer verzorgt in dit geval alleen de benodigde contacten met leveranciers en zorgt ervoor dat de opdrachtgever voldoet aan de gestelde kaders en regelgeving Uitgebreid Dienstverleningsniveau Uitgebreid vertegenwoordigt een takenpakket met opties waarbij kennis borging en continuïteit geboden worden op het gebied van beheer en ondersteuning van het systeem. Het beheer op het systeem wordt uitgevoerd zoals Pagina 10 van 20

11 beschreven in kolom Uitgebreid van tabel 1 en tabel 2 in bijlage A. Dit houdt in dat de systeem- of proceseigenaar conform het dienstverleningsniveau wordt gefaciliteerd. Systemen waarvoor het niveau Uitgebreid geschikt is, zijn kritisch in het primaire proces van de eindgebruikers. Als impressie: De key users geven aan welke behoeften de gebruikers hebben en verzorgen de communicatie richting de eindgebruikers. Zij hebben de kennis over hun werkproces en de werking van het systeem en kunnen eindgebruikers basisondersteuning bieden. Bij het kanaliseren van de behoefte levert DCI Beheer een ondersteunende rol en optioneel is het mogelijk om DCI Beheer hier als organisator in te zetten. DCI Beheer vertegenwoordigt de opdrachtgever richting leveranciers en behartigt de belangen van de eindgebruiker, zorgt ervoor dat nieuwe releases worden getest en adviseert over functionele mogelijkheden en wijzigingen. Daarnaast zorgt DCI Beheer er natuurlijk ook voor dat de opdrachtgever voldoet aan de gestelde kaders en regelgeving Compleet Dienstverleningsniveau Compleet vertegenwoordigt een takenpakket gericht op het volledige beheer en ondersteuning van het systeem inclusief het proces binnen het systeem zelf en de bijbehorende administratieve organisatie 6. Het beheer op het systeem wordt uitgevoerd zoals beschreven in kolom Compleet van tabel 1 en tabel 2 in bijlage A. Dit houdt in dat de systeem- of proces eigenaar en key user volledig wordt ondersteunt in het beheer en de doorontwikkeling van het systeem. Systemen waarvoor het niveau Compleet geschikt is, zijn kritisch in het primaire proces van de eindgebruikers en overstijgen vaak organisatieonderdelen. Om een beeld te geven: De key users geven aan welke behoeften de gebruikers hebben en verzorgen de communicatie richting de eindgebruikers. Zij hebben de kennis over hun werkproces en de werking van het systeem en kunnen eindgebruikers basisondersteuning bieden. DCI Beheer organiseert het kanaliseren van de gebruikersbehoeften. DCI Beheer vertegenwoordigt de opdrachtgever richting leveranciers en behartigt de belangen van de eindgebruiker, zorgt ervoor dat nieuwe releases worden getest, levert hiertoe input, adviseert over functionele mogelijkheden en wijzigingen en controleert en bespreekt eventuele dienstverleningsafspraken met de leveranciers. Daarnaast zorgt DCI Beheer er natuurlijk ook voor dat de opdrachtgever voldoet aan de gestelde kaders en regelgeving Prestatie afspraken Afhankelijk van het dienstverleningsniveau gelden er verschillende prestatie afspraken. Deze afspraken zijn weergegeven in tabel 2 van bijlage A. 2.3 Vastlegging en wijziging van de dienstverlening De dienstverlening van DCI Beheer kan jaarlijks worden herzien en wordt minimaal één keer per jaar vastgesteld. De gemaakte afspraken worden per systeem in de Dienstverleningsovereenkomst (DVO) vastgelegd. 6 Dit behelst onder andere een functioneel ontwerp, testplannen en werkinstructies Pagina 11 van 20

12 3 Verantwoordelijkheden 3.1 Opdrachtgever De opdrachtgever is bevoegd om binnen de voor IenM geldende kaders eisen te stellen aan de dienstverlening op de in beheer gegeven systemen. Wijzigingen in de functionaliteit van systemen mogen alleen plaatsvinden met instemming van de opdrachtgever en na het beschikbaar stellen van het benodigde budget. De opdrachtgever gaat akkoord met het opnemen van het systeem in de producten- en dienstencatalogus (PDC) van DCI en kan hier eventuele beperkingen aan geven. Bij de rol van opdrachtgever behoren de volgende verplichtingen en activiteiten: - Is eigenaar van de via het systeem vastgelegde gegevens; - maakt de afspraken over de dienstverlening en laat deze vastleggen in de Dienstverleningsovereenkomst (DVO); - is verantwoordelijk voor het correct, volledig en tijdig beleggen van de maatregelen die uit de risico afweging voortkomen (denk hierbij aan de WBP 7, BIR 8 ); - zorgt voor budget voor zowel de structurele (beheer)kosten als eenmalige (wijzigings)kosten voor het systeem; - is verantwoordelijk voor de ontwikkeling van een meerjarige visie op systeem en functionaliteit ten behoeve van het lifecycle management van het systeem; - bekrachtigt de (werk)afspraken die nodig zijn voor het uitvoeren van het centraal functioneel beheer; - neemt besluiten over de in productie name van nieuwe systemen en wijzigingen op basis van het advies van centraal functioneel beheer; - neemt besluiten over de te realiseren wijzigingsverzoeken op basis van het advies en de impactanalyse van centraal functioneel beheer; - stelt de kaders voor het ter beschikking stellen van het systeem en het autorisatiebeheer binnen het systeem; - is verantwoordelijk voor het voldoen aan de binnen IenM geldende kaders; - is verantwoordelijk voor het laten uitvoeren en up-to-date houden van de risico afweging; - houdt centraal functioneel beheer op de hoogte van organisatorische, financiële en personele ontwikkelingen en/of verandering die van belang zijn voor de uitvoering van de dienstverlening; - wijst gebruikers aan als key user; - is verantwoordelijk voor de communicatie naar de eindgebruikers. 3.2 Centraal Functioneel Beheer Het afdelingshoofd DCI Beheer is eindverantwoordelijk voor de uitvoering van de afgesproken dienstverlening en de rapportage met betrekking tot het centraal functioneel beheer. 7 Wet Bescherming Persoonsgegevens 8 Baseline Informatiebeveiliging Rijksdienst Pagina 12 van 20

13 3.3 Key user De key user is verantwoordelijk voor het vertegenwoordigen van de gebruikersorganisatie zowel richting centraal functioneel beheer als richting zijn/haar systeem-, of proceseigenaar. Bij de rol van key user behoren de volgende verplichtingen en activiteiten: - Heeft veel inhoudelijke kennis van het systeem, de werkprocessen die het systeem ondersteunt en de werkprocessen met centraal functioneel beheer dan de eindgebruiker; - is het eerste aanspreekpunt voor de eindgebruikers; - kent de gebruikersorganisatie en de behoeften die daar leven; - verzamelt de gebruikerswensen van de eindgebruikers en stemt deze af met centraal functioneel beheer; - neemt deel aan het gebruikersoverleg als vertegenwoordiger van de eindgebruikers; - communiceert de uitkomsten van het gebruikersoverleg naar de eindgebruikers; - is verantwoordelijk voor het scenario van de gebruikersacceptatietest; - participeert zelf in en mobiliseert eindgebruikers voor de gebruikersacceptatietest. Pagina 13 van 20

14 Bijlage A Dienstverleningsmodel Tabel 1 Taakomschrijving TAAK 0 STANDAARD DIENSTVERLENING Basis Uitgebreid Compleet 0.1 Autorisatiebeheer 0.2 Certificaten beheer 0.3 Licentie beheer 0.4 Informatie beveiliging 0.5 Vastleggen werkafspraken 1 GEBRUIKERSONDERSTEUNING 1.1 Afhandelen meldingen 1.2 Bieden inhoudelijke ondersteuning Organiseren gebruikersoverleg Opleiden eindgebruikers Bijhouden gebruikershandleidingen - 2 WIJZIGINGEN BEHEER 2.1 Wijziging doorvoeren 2.2 Opstellen impact analyse Opstellen en bewaken implementatieplan Bewaken en controleren relatie niet geautomatiseerde informatievoorziening - 3 TESTEN 3.1 Begeleiden acceptatietest 3.2 Uitvoeren acceptatietest Opstellen verkort testplan Opstellen uitgebreid testplan Opstellen verkort testrapport Opstellen uitgebreid testrapport - 4 ADVISEREN 4.0 Adviseren Dienstverleningsovereenkomst (DVO) 4.1 Adviseren over de functionele mogelijkheden Prioriteren wijzigingsverzoeken Adviseren over meldingen Analyse informatiebehoefte naar functionaliteiten Adviseren over de behoefteplanning - Pagina 14 van 20

15 4.6 Leveren specialistische ondersteuning in projecten - TAAK Basis Uitgebreid Compleet 5 RAPPORTAGE 5.1 Rapporteren meldingen 5.2 Rapporteren wijzigingen 5.3 Rapporteren kerncijfers Controleren van de dienstverleningsafspraken Rapporteren bedrijfsgegevens Leveren maatwerkrapportage - Tabel 1 Dienstverleningsmodel Legenda - Dienstverlening wordt niet geleverd Optionele dienstverlening Gekozen dienstverlening Tabel 2 Prestatie afspraken Taak Basis Uitgebreid Compleet 1.1 Afhandelen meldingen 50% < 8 uur 80% < 8 uur 90% < 8 uur 1.3 Organiseren Gebruikersoverleg Kwartaal 5.1 Rapporteren meldingen - Kwartaal 5.2 Rapporteren wijzigingen - Kwartaal 5.3 Rapporteren kerngegevens - Kwartaal 5.4 Controleren van de dienstverleningsafspraken - Maandelijks 5.5 Rapporteren bedrijfsgegevens - Kwartaal 5.6 Leveren maatwerkrapportage - Op afspraak Tabel 2 Prestatie afspraken Toelichting op tijden Afhandelen meldingen. Genoemde uren zijn werkuren. De tijd gaat lopen op het moment dat de melding bij CFB bekend is. Deze tijden gelden alleen voor meldingen die door CFB kunnen worden opgelost. Voor meldingen die moeten worden doorgezet naar de leverancier gelden de oplostijden genoemd in de SLA. Pagina 15 van 20

16 Bijlage B Taakdefinities 0 Standaard dienstverlening 0.1 Autorisatiebeheer Informatiesystemen hebben vaak een vorm van toegangscontrole, functiescheiding en functionaliteit om rechten te geven aan gebruikers. Het verstrekken, aanpassen en intrekken van deze autorisaties valt onder de standaard werkzaamheden. 0.2 Certificatenbeheer Om binnen de IT-infrastructuur op een veilige wijze te communiceren wordt gebruik gemaakt van certificaten. Deze certificaten zijn kleine gegevensbestanden die een cryptografische sleutel digitaal meegeven aan de gegevens die verstuurd worden. Veel systemen maken gebruik van deze manier om de gegevens te versleutelen. Het aanvragen van certificaten is een proces dat alleen mag worden uitgevoerd door vertrouwde partijen. Binnen DCI Beheer zijn de processen zo ingericht dat certificaten centraal worden aangevraagd en, indien nodig, verlengd. Door de centrale administratie is het bij beveiligingsincidenten mogelijk om snel gecompromitteerde certificaten te vervangen. 0.3 Licentiebeheer Het gebruik van software is veelal auteursrechtelijk beschermd. Het business model van softwareleveranciers is vaak gebaseerd op een licentiemodel, wat inhoudt dat per gebruiker een licentie beschikbaar moet zijn om het gebruik te legitimeren. Doordat DCI Beheer het licentiebeheer centraal heeft georganiseerd, is het mogelijk de aanschaf van licenties te optimaliseren en hierdoor kosten te besparen. 0.4 Informatiebeveiliging Informatiebeveiliging is het geheel van maatregelen dat nodig om het risico op beveiligingsincidenten (beschikbaarheid, exclusiviteit en integriteit) tot een acceptabel niveau te beperken. Op basis van een risico afweging 9 beoordeelt DCI Beheer in hoeverre wordt voldaan aan de gestelde kaders en adviseert de opdrachtgever over de te nemen maatregelen. DCI Beheer verzorgt dit ook voor de systeemoverstijgende kaders. 0.5 Vastleggen werkafspraken In overleg met de opdrachtgever of key-user worden voor elk bij DCI Beheer in beheer genomen systeem specifieke werkafspraken gemaakt. Afhankelijk van het gekozen dienstverleningsniveau zullen deze afspraken minder of meer uitgebreid zijn. 9 Een risico afweging is een document waarmee wordt vastgesteld welk niveau van informatiebeveiliging noodzakelijk is. Dit document wordt opgesteld op basis van een (aantal) interview(s) en wordt ook wel Quickscan BIR (Baseline Informatiebeveiliging Rijksdienst) genoemd. Pagina 16 van 20

17 1 Gebruikersondersteuning 1.1 Afhanden meldingen DCI Beheer zorgt voor de registratie, monitoring en afhandeling van alle meldingen binnen de afgesproken tijden. Meldingen moeten worden aangemeld via een ingeregelde service desk. 1.2 Bieden inhoudelijke ondersteuning DCI Beheer verzorgt ondersteuning bij inhoudelijke en functionele vragen. Hiervoor borgt centraal functioneel beheer het behoud en de continuïteit van de functionele kennis van het systeem. 1.3 Organiseren gebruikersoverleg DCI Beheer initieert en organiseert periodiek overleg met key-user(s) om op operationeel niveau informatie uit te wisselen en besluitvorming voor te bereiden. De resultaten worden voorgelegd aan de opdrachtgever. 1.4 Opleiden eindgebruikers Key-user(s) en/of eindgebruiker(s) worden door DCI Beheer opgeleid in het gebruik van het systeem. 1.5 Bijhouden gebruikershandleidingen DCI Beheer onderhoudt de gebruikershandleidingen. 2 Wijzigingen Beheer 2.1 Wijziging doorvoeren DCI Beheer inventariseert via de key-user(s) de gewenste wijzigingen op het systeem en ondersteunt de besluitvorming op de gewenste wijzigingen. Voor de te realiseren wijzigingen verstrekt DCI Beheer de opdracht aan de leverancier(s), bewaakt de uitvoering en borgt het afgesproken dienstverleningsniveau. DCI Beheer informeert de key-user(s) over de voortgang van de wijziging. 2.2 Opstellen impact analyse DCI Beheer analyseert en onderzoekt, indien nodig in overleg met de leverancier, de haalbaarheid (tijd, kosten,impact) van de wijziging. DCI Beheer doet op basis van haar onderzoek aan de opdrachtgever een voorstel ter besluitvorming met daarin een uitgewerkte analyse en mogelijke oplossingsrichtingen. 2.3 Opstellen en bewaken implementatieplan Na besluitvorming over de voorgestelde oplossingsrichting van een wijziging wordt door DCI Beheer een draaiboek opgesteld waarin de implementatiestappen worden beschreven en met de opdrachtgever gedeeld. 2.4 Bewaken en controleren relatie niet geautomatiseerde informatievoorziening DCI Beheer geeft aan welke relaties en mogelijke verbeteringen er zijn met de niet geautomatiseerde informatievoorziening (werkprocessen en papieren documenten). 3 Testen 3.1 Begeleiden acceptatietest DCI Beheer faciliteert de key-user(s)/eindgebruikers bij het uitvoeren van de acceptatietesten conform plan. Pagina 17 van 20

18 3.2 Uitvoeren acceptatietest DCI Beheer controleert of het systeem klaar is voor de acceptatietest. Daarnaast test DCI Beheer, indien aanwezig, de beheerfunctionaliteit als gebruiker van het systeem. 3.3 Opstellen verkort testplan DCI Beheer stelt een verkort testplan op voor het gehele testtraject. Het testplan bevat onder andere scope, teststrategie en aanpak. 3.4 Opstellen uitgebreid testplan DCI Beheer stelt een testplan op voor het gehele testtraject. Het testplan bevat onder andere scope,teststrategie, testdoelen, aanpak, activiteiten en planning. De onderdelen in het uitgebreide testplan worden meer gedetailleerd uitgewerkt. 3.5 Opstellen verkort testrapport DCI Beheer stelt op basis van de bevindingen een verkort testrapport op en legt dit ter besluitvorming voor aan de systeem- of proceseigenaar. Het testrapport bevat onder andere afwijkingen t.o.v. het testplan, de testresultaten, openstaande bevindingen, conclusie en advies. 3.6 Opstellen uitgebreid testrapport DCI Beheer stelt op basis van de bevindingen een uitgebreid testrapport op en legt dit ter besluitvorming voor aan de systeem- of proceseigenaar. Het testrapport bevat onder andere afwijkingen t.o.v. het testplan, het verlopen van het testen, de testresultaten, openstaande bevindingen, conclusie en advies. 4 Adviseren 4.0 Adviseren Dienstverleningsovereenkomst (DVO) DCI Beheer adviseert de opdrachtgever met betrekking tot de af te sluiten DVO. Het afsluiten van een DVO met DCI valt onder de verantwoordelijkheid van Service Management van DCI. 4.1 Adviseren over de functionele mogelijkheden DCI Beheer adviseert de opdrachtgever met betrekking tot de functionele mogelijkheden en verbeteringen van het systeem. 4.2 Prioriteren wijzigingsverzoeken DCI Beheer adviseert de opdrachtgever in welke volgorde wijzigingsverzoeken zouden moeten worden geprioriteerd en uitgevoerd. 4.3 Adviseren over meldingen DCI Beheer voert, waar mogelijk, een trendanalyse uit op basis van de meldingenrapportage. Hieruit kunnen verbetervoorstellen voortkomen die ter besluitvorming worden voorgelegd. 4.4 Analyse informatiebehoefte naar functionaliteiten DCI beheer informeert en adviseert de opdrachtgever over veranderingen in de omgeving waar het systeem in draait en de keten waarvan het systeem onderdeel van is. 4.5 Adviseren over de behoefteplanning DCI Beheer adviseert de opdrachtgever over de benodigde behoefte (capaciteit, geld en middelen) van het informatiesysteem, ook voor de komende jaren/jaar. 4.6 Leveren specialistische ondersteuning in projecten DCI Beheer kan bij relevante projecten ondersteuning in kennis en menskracht verlenen. Pagina 18 van 20

19 5 Rapportage 5.1 Rapporteren meldingen DCI Beheer levert periodiek een rapportage over de ingediende en afgehandelde meldingen. 5.2 Rapporteren wijzigingen DCI Beheer levert periodiek een rapportage over de wijzigingen. 5.3 Rapporteren kerncijfers DCI Beheer levert periodiek een rapportage over kerncijfers. Voorbeelden hiervan zijn: het aantal geautoriseerde gebruikers, het aantal bezoekers van een website, het aantal gebruikte licenties, etc. 5.4 Controleren van de dienstverleningsafspraken DCI Beheer rapporteert over in het Dossier Afspraken en Procedures (DAP) afgesproken prestatie-indicatoren zoals gebruik, kosten en beschikbaarheid. Daar waar mogelijk wordt deze rapportage opgenomen in de rapportage die service management van DCI periodiek aan de opdrachtgever oplevert en bespreekt. 5.5 Rapporteren bedrijfsgegevens DCI Beheer rapporteert periodiek over doorgevoerde veranderingen i.r.t. de opgeslagen bedrijfsgegevens (impact, samenhang andere systemen en dergelijke). DCI Beheer zorgt ervoor dat de risico afweging voor het systeem periodiek wordt uitgevoerd en rapporteert hierover aan de opdrachtgever. 5.6 Leveren maatwerkrapportage DCI Beheer levert maatwerkrapportages op basis van de systeem gegevens. Frequentie en inhoud worden in overleg met de opdrachtgever afgestemd. Pagina 19 van 20

20 Bijlage C Toelichting Bisl, ASL, Itil a. BISL BiSL is een standaard in het publieke domein sinds 2005, die wordt beheerd door de ASL BiSL Foundation, voorheen ASL Foundation. Anders dan frameworks als ASL en ITIL richt BiSL zich niet op ICT-organisaties (supply), maar juist op de gebruikersorganisatie (demand). In dit framework staat beschreven, hoe een gebruikersorganisatie ervoor kan zorgen dat informatievoorziening adequaat werkt, hoe men behoeften in het bedrijfsproces vertaalt naar zowel ICT-oplossingen als niet-ict-oplossingen, hoe men de informatievoorziening en ICT-dienstverlening vanuit een gebruiksoptiek stuurt en hoe men de informatievoorziening op lange termijn vormgeeft. Het is derhalve voor alle organisaties bestemd. Het BiSL raamwerk omvat 23 taken op richtinggevend, sturend en uitvoerend niveau en wordt ondersteund door een aantal best practices, waarmee men invulling kan geven aan functioneel beheer en informatiemanagement binnen een organisatie. Het raamwerk wordt al door diverse grote Nederlandse organisaties gebruikt en toegepast en sluit aan op de procesframeworks ASL en ITIL. b. ASL ASL (Application Services Library) is een procesraamwerk, ondersteund door Best Practices, dat de processen van het beheer, onderhoud en vernieuwing van informatiesystemen en applicaties beschrijft. Het biedt een handvat bij het verbeteren van organisaties, die applicatiebeheer uitvoeren. Door gebruik van bestpractices en diagnose-instrumenten, zoals zelfevaluaties, kan men pragmatisch aan de slag met het verbeteren van het applicatiebeheer. ASL beschrijft de processen op uitvoerend (operationeel), sturend (tactisch) en richtinggevend (strategisch) niveau. Het kent zes clusters, met daarin processen. ITIL is als beheermethodiek sterk gericht op het beheren van IT-infrastructuren, ASL legt de nadruk op applicatiebeheer, op de processen rond het beheren en onderhouden van software en de gegevensbanken. De ITIL processen zijn voor een groot deel binnen ASL terug te vinden, met name in de hoek van de beheerprocessen en de tactische processen. Eigen voor ASL is de nadruk op de ontwikkelcyclus (onderhoud / vernieuwing). ASL is een Nederlandse standaard in het publieke domein, beschikbaar voor iedere organisatie, en wordt beheerd door een stichting, die wordt ondersteund door een aantal grote ICT-bedrijven. c. ITIL Information Technology Infrastructure Library, meestal afgekort tot ITIL, is ontwikkeld als een referentiekader voor het inrichten van de beheerprocessen binnen een ICT-organisatie. ITIL is geen methode of model, maar eerder een reeks van best practices (de beste praktijkoplossingen) en concepten. Het resultaat van procesimplementatie met behulp van ITIL is vergelijkbaar met de ISO regulering in de niet-ict-branche, waarbij alle onderdelen van de organisatie zijn beschreven en in een bepaalde hiërarchie qua bevoegdheid/verantwoordelijkheid zijn gerangschikt. Pagina 20 van 20